前回に続き、ピーター・ヒンセンさんのお話を伺っていきます。COVIDという特殊な時期の終わりに突如現れたNever Normal時代。フェニックスのように蘇り、舞い上がっていくにはどうすればよいでしょうか？
さっそく、続きを聴いてみましょう。
（引用: 小見出し、および太字は筆者による）
The Never Normal
Peter Hinssen, innovator and thought-leader
Steve Durbin/CEO, Information Security Forum
5 March 2024
The ISF Podcast
（前回からの続き）
AI＋人による加速
スティーブ・ダービン 先ほどテクノロジーや人工知能について触れられましたが、私たちの社会はテクノロジーに依存しすぎているとお考えでしょうか？
ピーター・ヒンセン 個人的にはそう思っていませんが、私は根っからの技術者なので、今でも何か起こるたびに興奮します。私自身も、私たちが築き上げたものは巨人の肩（先人の偉大な業績）の上に成り立っているのだと実感しています。ですから、私たちはその上に積み重ねていくのです。そしてもし、その根底にあるメカニズムのいくつかが壊れてしまったら、積み重ねていくことがどれほど難しいことなのかがわかるのです。
たとえば、先のパンデミック時にみなさんが経験されたと思いますが、我が家では、パンデミック時にインターネットがダウンすると、大混乱が起きたのです。ですから、人々はテクノロジーに非常に依存するようになります。テクノロジーは機能していなければなりません。デジタル機器の故障は許されないのです。その一方で、私たちは実際にテクノロジーの可能性を引き出し、そのツールを使ってこれまで以上に生産的な仕事ができるようになる段階に差し掛かっていると思います。例えば、AIといったものにものすごく興奮するのはそのためです。
長年にわたって、デジタルテクノロジーは生産性という面では、ある意味期待外れでした。社会はかつてないほど多くのツールを手に入れましたが、本当に生産性は向上したのでしょうか？ 疑わしいですね。だって、私たちのほとんどはいまだにマイクロソフト・ワードを、昔の機械式タイプライターと同じように使っているのですから。唯一の違いは、修正液が要らなくなったことです。
しかし、私たちは今、人間＋機械の組み合わせが、実際に生産性を向上させるものとして目に見える段階にまで来ていると思いますし、デジタルテクノロジーが登場してから30年、40年で初めて、非常に大きな変化を見ることができるかもしれません。デジタルが当たり前になるまでが第一段階だったと思いますし、それが企業にとってのベースキャンプです。各社には今、身近にあるデジタルを実際に活用できる可能性を持っていると思います。ですから、今でもまだワクワクします。しかし、もしもうまく活用できなければ、それは大きな課題となります。
ChatGPTを例にとってみましょう。2022年11月30日にリリースされたとき、まず私やあなたのような人たちが使い始め、次に学生たちがどんどん使い始めました。統計を見たところ、22～23年度の論文や学位論文の60～70％が生成AIを使って書かれたそうです。これは過小評価だと思います。私は90％以上に近いと思っています。しかし、最初の頃は ChatGPTでもそうでしたが、世の中の熱狂に飲み込まれてしまいましたよね。あまりにも多くの人が使い始めたので、サーバーがダウンすることもありました。私の友人の一人は教師です。彼女のところに、ChatGPTがダウンしたので、宿題を提出できませんと言ってきた生徒がいたそうです。今や社会がテクノロジーに頼り切っていることがわかりますね。
Never Normalに飛び込むか、静観するか
スティーブ・ダービン ただ、セキュリティの観点からは、もちろん、さまざまな問題が生じてきますよね。つまり、ChatGPTがまさに爆発的に普及したとき、メンバーの何人かと話していて気づいたのは、彼らは2つの考え方に分かれているということです。
とにかく実験してみようという人たちの一派。「実際に使ってみよう」、ということですね。他方は、「いや、まだまだ許可できる段階ではない」と言い、「社内横断的に野放しにするのは無理だろう」、「ポリシーもプロセスも手順も整備されていないし、実際にモニタリングすることもできない」と主張する派でした。
そこで、しばらくの間、静観し、様子を見ることにしています。すると、興味深いことに、そのうちの何人かは、自分たちが遅れをとっているのではないかと感じ始めています。私は、これはテクノロジーの変化の速さを反映したものに過ぎないと考えています。では、このような進化を目の当たりにして、「ちょっと腰を落ち着けて待ってみようかな」と思っている人たちに、何かアドバイスがあればお願いします。
飛び込むべきでしょうか？ 何をすべきでしょうか？
ピーター・ヒンセン これは、何か奇妙なものが成長し始めるときに見られる典型的なS字カーブで、それが反転すると通常のカーブになるのですが、そのS字カーブの勾配は信じられないほど急になってきています。まさに生成AIはその好例です。私たちは今、このことについて深く理解するための実験が、かつてないほど重要な時期にさしかかっていると思います。私たちは時間をかけて実感し、試し、実験しなければなりません。
それでは、その実験が済むまでじっと待ってみるとしようか、という考えはどうでしょう？ このNever Normalな時代には、もうそういう考えは当てはまらないと思っています。生成AIはその好例です。私は、このチャンスは非常に大きいと考えています。というのも、長い間、私たちが企業で行ってきたことは、データとなった情報や構造化されたデータに焦点を当ててきたからです。でも、企業内の情報のどれだけが構造化されているのでしょうか？ 20%? 30%? 60％、70％、あるいは80％、もしくは90％は非構造化データです。電子メールや文書がそうです。SharePointや至るところの共有ドライブにあるパワーポイントなどもそうです。データに関するガバナンスは今ではほぼ確立されたと言っていいと思いますが、コンテンツフローに関するガバナンスも確立しなければなりません。ところが、私たちはこれまで、この点についてほとんど無視してきました。しかし今、企業は大規模言語モデルの訓練に何を使っていますか？ 自社の知的財産と大規模言語モデルをどのように組み合わせようとしていますか？ その中で、それが社外に漏れないようにするにはどうすればいいのでしょうか？
企業は、コンテンツのガバナンス、非構造化フローに取り組んでいかなければならないでしょうし、それは私たちが理解しなければならない今までと全く異なる問題なのです。新しいテクノロジー、新しいメカニズムといった、まったく別世界の話に対する理解が必要なのです。そして、その中でリスクについて考え、セキュリティについて考えるという点で、大きなチャンスを切り開いていくことになると思います。ですから、この機会を無視することはあり得ないと思います。これは、私が30年間ITに携わってきた中で最大の出来事です。そして、この流れに乗らなければ、遅れをとることになるでしょう。
規制の制定を待つか、見切って走り出すか
スティーブ・ダービン つまり、企業内部のガバナンスを変える必要があるということをおっしゃっているのですね。私たちは世界中で規制が進化しているのを目の当たりにしています。
例えばEU諸国ではAI法がありますが、国や地域によってスタンスはさまざまです。例えば、英国を見ると、EUで起こっていることに対し、英国で導入しようとしている規制の一部については、おそらく若干緩やかになっています。まず規制の必要性、そして次に一貫性という点についてはどうお考えですか？
ピーター・ヒンセン それが次の10年の大きなテーマのひとつになると思います。というのも、ヨーロッパではGDPRが大成功を収めたと規制当局が見ているからです。企業に言わせれば、そうではないと私は思います。一方で消費者に聞いてみると、また違った見解が返ってくると思います。プライバシーの保護という理念自体は非常に素晴らしく、必要なものでした。しかしその一方で、多くの企業がGDPRの導入に多額の費用を費やしました。また、消費者の視点から見ると、これまで以上に多くの同意フォームをクリックし、これまで以上に多くのスパムを受け取っているように感じています。ですから、この規制の崇高な意図と、その実際の運用、そして現実との間には断絶があると思います。
AIの世界でも同じようなことが起きないように注意しなければなりません。正直なところ、ヨーロッパはかなり前からAI規制の策定に取り組んでいました。生成AIの登場があまりにも早かったため、規制を延期することになったのです。 それに生成AIの普及もあまりにも早かったため、生成AIが登場した瞬間にすでに迂回されているようなものを規制として出しても、バカにされてしまうのではないかと考えたのです。
ですから、非常に奇妙な状況に陥っています。一方では、今や無法地帯が広がっているわけですので、規制が必要であることは明らかなのですが、テクノロジーの進歩は非常に速く、急速に進んでいるため、さて、どうするか。私としては、規制当局がそれにどう対処すべきかの答えを見つけ出さなければならないことが不憫でなりません。
会社として、あるいは組織として、そうした コンプライアンスへの対応に取り組むことになると思いますが、企業は規制の制定を待つべきでないと思います。最終的な規制環境が整うのを待たずに、自分たちでどのようにこの問題を整理していくかを考え始めるべきだと思います。そしてそれは、実体経済に影響を及ぼすことになるでしょう。
最近、長い間一緒に仕事をしているある大手のコンサルティング会社からメールをもらいました。この10年間、ずっと一緒に仕事をしてきた会社です。当社から受け取った情報、PDF、パワーポイント、Eメールなど、どれも大規模な言語モデルのトレーニングに使用されたことはありません、と署名していただけませんか？と言うんです。いいですか、私は個人に過ぎないんです。「ええ、出来ます」と言えますよ。もしあなたがとある企業で、大手製薬会社や大手小売業者で働いていていて、従業員の一人一人が、今までベンダーから受け取った情報は一切使用されていない、ということを保証しなければならないとしたら......どうやってコンプライアンス問題を整理すればいいのでしょうか？ ですから、最終的な規制が出るまで待っているのは本当に愚かなことだと思います。
今すぐ着手すべきです。なぜなら、このテクノロジーを使わない手はないと思うからです。企業の生産性を向上させる上で非常に強力なツールですから、導入の先送りはできません。しかし、規制が最終的に確定し具体化するのを待っていたのでは、絶対に手遅れになってしまうと思います。ですから、今すぐ行動しなければなりません。
変革のためのガバナンスメカニズム
スティーブ・ダービン 今、CEOや 取締役の立場として行動する上での課題のひとつは、既に多くの規制があり、コンプライアンスへも関心が高まっている折、取り組みが求められているということです。企業の中には、こうしたことに対処できるような頭脳や知識、あるいは理解があるのでしょうか？ 実際、私が話をした理事会のメンバーの中には、良し悪しは別として、「時間がないんだ」と言う人もいました。理解していないのです。
ピーター・ヒンセン そうなのですね。
スティーブ・ダービン 企業はGDPRに関わる責任があることを理解しています。例えば、重要インフラを担う企業であれば、NIS2にも責任を負うことを理解しています。そのため、AIについては、自社には能力や時間がないため、少し後回しにしてもいいのではないかと考えているようです。そのような企業にどのようなアドバイスができるでしょうか？
ピーター・ヒンセン そういうこともあって、3年前にある銀行の役員になりました。COVIDが始まった時です。起業家としての経歴とスタートアップの経歴を持つ私にとって、コンプライアンスやリスク、監査の世界に加わることは、正直なところ、これまでの人生で最も困難なことのひとつでした。多くのことを勉強しなければなりませんでしたが、私は今はとても楽しんでいます。
私が加わった銀行では、私のような経歴を持つ人々が意図的に採用されました。デジタルとデータの世界の動きは非常に速く、取締役会レベルでもそれに対応する必要があると考えたからです。というのも、デジタルとデータの世界の動きは非常に速く、取締役会レベルでもそれに対応する必要があると考えたからです。つまり、当行は本当にうまくやっているのです。当行のモバイルアプリは世界でトップ3に入っていますし、本当にうまくいっています。しかし、何が起きたかというと、実は取締役会内部のガバナンスまで変えてしまったのです。私が取締役会に加わった当時は、報酬委員会、監査委員会、リスク委員会の3つの委員会がありました。そして、当行はそれまでと同じようにリスク管理と監査機能に多くの時間を費やしてきました。しかし、取締役会レベルでは、古典的な金融リスク管理の仕組みから外れた規制が増えるという見方も一方ではありました。また、イノベーションにもっと時間を割く必要があるという考えもありました。現在、実は第4の委員会があります。委員会を増やせというわけではありませんが、新しい委員会が設置され、私はその名称を「破壊委員会」とするよう愚かにも提案しました。しかし、それは良くない案でした。当行ではこれをイノベーション委員会と名付けました。そこでは、2つのことを行います。
まず、ファイナンスリスクとは関係のないルールやコンプライアンスに焦点を当てます。サイバーセキュリティや事業継続など、津波が押し寄せるような規制の数々です。しかし、当行として見逃せないイノベーションにも目を向けています。もっとリスクを取る労力を投じなければならないものにも焦点を当てるのです。現在、取締役会のメカニズムには、当行にとって本当に重要なことを理解するためのレーダーがあると言えます。その上で、銀行として、保険会社として、何が必要なのかだけでなく、可能な限り早くそれを実行できるようにするために、どこを強化しなければならないのかを見極めなければなりません。
率直に言って、今後ますます多くの企業の取締役会では、津波のようなコンプライアンス問題だけでなく、会社として絶対に見逃してはならないイノベーションについて議論するためのスキルやメカニズム、そして議論の場をどのように構築していくかを検討する必要が出てくるでしょう。そうすれば、正直なところ、取締役会での議論も大きく変わってくるでしょう。
スティーブ・ダービン 興味深いお考えです。いつも楽しくお話しさせていただき、また、リスナーのみなさんにお話ししてくださったような、実に素晴らしい実例もお伺いできて楽しかったです。
ピーター・ヒンセン 光栄です。このフォーラムに参加できて本当にうれしいです。
（引用終わり）
いかがでしたか。いつもの「脅威」「リスク」が先にあって、それを受ける立場の情報セキュリティの仕事とは見方を180度変えて、リスクの辻風に舞い上がっていく気概が出て来るような話ではなかったでしょうか。何がしかのご参考になれば幸いです。
小原：hiro.ohara@securityforum.org
